📄 other

Evaluating the human factor in cybersecurity threats (a Systematic Literature Review)

이 체계적 문헌 고찰은 2010년부터 2026년까지의 연구를 종합하여 사이버 보안 사고가 단순한 사용자 오류가 아니라 인지적, 사회적, 조직적 요인의 복잡한 상호작용에서 비롯됨을 입증하고, 궁극적으로 이러한 취약성을 해결하기 위한 통합적인 인간 중심 프레임워크를 제안한다.

원저자: Alaa Abuiteiwi, Santiago Escobar

게시일 2026-07-27

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Alaa Abuiteiwi, Santiago Escobar

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

디지털 세상을 거대하고 북적이는 도시라고 상상해 보세요. 이 도시에는 코드로 만들어진 높은 마천루, 데이터의 고속도로, 그리고 나쁜 놈들을 막기 위해 설계된 방화벽이라는 이름의 보이지 않는 힘의 장벽이 있습니다. 오랫동안 이 도시의 설계자들은 더 강력한 벽과 더 똑똑한 자물쇠를 만들기만 하면 안전할 것이라고 믿었습니다. 하지만 함정이 하나 있습니다. 이 도시는 사람들에 의해 거주되고 있다는 점입니다. 그리고 사람들은 로봇과 달리 지치기도 하고, 주의가 산만해지기도 하며, 호기심을 갖거나 속기도 합니다. 이 논문은 사이버 보안(cybersecurity)이라는 과학의 한 구석, 특히 "인적 요인(human factor)"에 초점을 맞추고 있습니다. 인적 요인을 수학 방정식의 예측 불가능한 변수라고 생각해보세요. 그것은 사람이 비밀번호를 잊어버리거나, 서두르느라 이상한 링크를 클릭하거나, 실수로 문을 열어두는 등의 부분입니다. 이 논문은 단순하지만 거대한 질문을 던집니다. 우리가 사람들에게서 인간다움을 멈추게 할 수 없다면, 어떻게 우리의 인간적인 실수가 이 전체 공간을 무너뜨리지 않도록 디지털 도시를 설계할 수 있을까요?

이것은 단지 사람들이 부주의하다고 비난하는 것에 관한 것이 아닙니다. 저자인 알라 아부이테이위(Alaa Abuiteiwi)와 산티아고 에스코바르(Santiago Escobar)는 거대한 탐정 놀이를 시작했습니다. 그들은 단 한두 개의 연구만을 살펴본 것이 아니라, 2010년부터 2026년 초 사이에 발표된 125개의 서로 다른 과학 논문을 수집하고 분석했습니다. 그들은 왜 보안이 실패하는지에 대한 패턴이 있는지 확인하고 싶었습니다. 서로 다른 도시에서 온 125개의 서로 다른 경찰 보고서를 읽으며 미스터리를 풀려고 노력하는 것을 상상해 보세요. 그것이 바로 그들이 한 일입니다. 그들은 "인적 오류(human error)"라는 오래된 개념이 너무 단순하다는 것을 발견했습니다. 그것은 단순히 한 사람이 한 번의 실수를 하는 것이 아닙니다. 대신, 그것은 마치 피곤한 뇌, 혼란스러운 컴퓨터 화면, 서두르는 상사, 그리고 영리한 해커가 완벽하게 줄을 서서 재앙을 일으키는 루브 골드버그 장치(Rube Goldberg machine)와 같습니다.

이 논문의 주요 발견은 보안 침해가 단지 한 사람이 어리석어서 발생하는 것이 아니라는 점입니다. 그것은 연쇄 반응 때문에 발생합니다. 저자들은 문제가 발생하는 다섯 가지 주요 영역을 찾아냈습니다: 우리의 뇌가 작동하는 방식(예: 지나치게 낙관적이거나 신뢰하는 것), 해커가 우리를 속이는 방식(예: 진짜처럼 보이는 가짜 이메일을 보내는 것), 회사 내부 인물의 위험성(예: 화가 나 있거나 그저 부주의한 경우), 회사의 보안 문화가 보안을 대하는 태도(예: 상사가 신경을 쓰는가?), 그리고 보안 도구가 얼마나 짜증 나거나 혼란스러운지입니다. 만약 보안 도구가 사용하기 너무 어렵다면, 사람들은 마치 매점 줄이 너무 길 때 영화관에 간식을 몰래 가지고 들어가는 것처럼, 그것을 우회할 방법을 찾아낼 것입니다.

저자들은 우리가 사람들을 더 많은 강의로 교정해야 할 "약한 연결고리"로 취급하는 것을 멈춰야 한다고 주장합니다. 대신, 그들은 사람을 이해하는 시스템을 구축해야 한다고 제안합니다. 그들은 새로운 "프레임워크(framework)"를 제안하는데, 이는 기본적으로 이러한 문제들을 해결하기 위한 청사진입니다. 이 청사진은 우리가 전체적인 그림을 보아야 한다고 제안합니다: 직원이 느끼는 스트레스, 사용 중인 소프트웨어의 디자인, 그리고 사무실의 문화까지 말입니다. 또한 그들은 현재 보안을 측정하는 방식이 엉망이라는 점을 지적합니다. 어떤 보고서는 침해 사례의 74%가 인간 관련이라고 말하는 반면, 다른 곳에서는 95%라고 말합니다. 논문은 이 숫자들이 서로 다른 이유가 모두가 서로 다른 것을 세고 있기 때문이라고 설명합니다. 예를 들어, "모든 사고"를 세는 것과 "불을 일으킨 사고만" 세는 것의 차이와 같습니다.

궁극적으로, 이 논문은 우리가 사람들을 완벽한 로봇으로 훈련할 수는 없다고 제안합니다. 우리는 인간의 본성에 대해 관대한 디지털 세상을 설계해야 합니다. 만약 시스템이 사용하기 더 쉽고, 스트레스가 적으며, 실수를 비난하지 않는 문화에 의해 뒷받침된다면, "인간 방화벽"은 훨씬 더 강력해질 것입니다. 저자들은 이 문제를 영원히 해결했다고 주장하는 것이 아닙니다—사이버 범죄자들은 항상 그들의 수법을 바꿉니다만—그들은 단순한 비난에서 벗어나 더 스마트하고 인간 친화적인 해결책을 향해, 어디가 진짜 문제 지점인지에 대한 훨씬 더 명확한 지도를 제공했습니다.

기술 요약: 사이버 보안 위협에서의 인적 요인 평가

문제 제기
인간의 행동이 조직의 사이버 보안 결과에 상당한 영향을 미친다는 점은 널리 인식되고 있음에도 불구하고, 기존 문헌은 학문적 영역(심리학, 컴퓨터 과학, 경영학)과 분석 수준에 따라 파편화되어 있다. 현재의 연구들은 종종 단일 변수에 고립되어 있거나 횡단적 자기 보고 설계에 의존하고 있으며, 인지적 제약, 상황적 압박, 조직 설계, 그리고 공격자의 적응이 어떻게 상호작용하여 취약성을 만들어내는지에 대한 통합적인 설명을 제공하지 못하고 있다. 나아가 방법론적 투명성이 부족하며, 분야의 성장 속도가 누적적 종합(cumulative synthesis)의 속도를 앞질러 '성숙도 천장'에 도달해 있는 상태이다. 본 검토는 인간의 취약성이 조직 환경에서 어떻게 생성되고, 증폭되며, 완화되는지에 대한 일관된 이해를 구축하기 위해 단순한 기술적 목록 작성을 넘어설 필요성을 다룬다.

방법론
본 연구는 PRISMA(체계적 문헌 고찰 및 메타 분석을 위한 선호 보고 항목) 원칙에 따라 수행된 체계적 문헌 고찰(SLR)을 채택한다.

범위: 2010년 1월부터 2026년 3월 사이에 발표된 피어 리뷰 학술 문헌.
데이터베이스: IEEE Xplore, ACM Digital Library, Scopus, Web of Science.
검색 전략: '인적 요인' 개념(예: 사용자 행동, 인지 편향, 내부자 위협)과 '사이버 보안' 개념 및 '조직적' 맥락을 결합한 불리언 쿼리(Boolean queries) 사용.
선별 과정: 초기 1,456개의 기록 중 1,080개의 고유 기록을 스크리닝하였다. 전문 적격성 평가를 거쳐 최종적으로 125개의 피어 리뷰 연구가 합성(synthesis)에 포함되었다.
분석: 추출된 데이터를 분석하기 위해 주제적 합성(thematic synthesis) 접근법을 사용하였으며, 기술적 코딩에서 고차원적 분석 테마로 나아갔다. 보충적인 실무 보고서(2025–2026)는 공식적인 코퍼스의 일부가 아닌 맥락적 삼각측량(triangulation)을 위해서만 사용되었다.

주요 기여 및 결과
본 검토는 다섯 가지의 반복되는 분석 영역을 식별하고, 인간의 실수를 고립된 실패로 보는 관점에 도전하는 교차 연구 패턴을 합성한다.

개인적 행동 및 심리적 동인:
- 비의도적 오류: 오류는 결코 무작위적이지 않다. 이들은 워크플로우 설계, 인지 부하, 조직적 제약(예: 설정 오류, 패치 지연)에 의해 유도되는 예측 가능한 패턴을 따른다.
- 인지 편향: 판단에서의 체계적 오류(낙관 편향, 가용성 휴리스틱, 확증 편향)는 기술적으로 숙련된 사용자들 사이에서도 위험 인지와 의사결정을 왜곡한다.
- 심리적 상태: 스트레스, 피로, 인지 부하는 정책 위반과 오류율을 유의미하게 증가시킨다.
- 사용자 프로필: 안정적인 특성(예: 충동성, 인터넷 중독)과 뚜렷한 행동 원형(예: "전문가", "추방자", "억압자")은 취약성에 영향을 미치며, 이는 획일적인 교육이 효과적이지 않음을 시사한다.
사회 공학적 취약성:
- 사회 공학은 신뢰, 권위, 긴급성을 이용하는 사회-기술적 현상으로 프레임화된다.
- 성공 여부는 설득 전술, 제한된 주의력, 그리고 조직적 기후(예: 준수보다 속도를 우선시하는 문화)의 상호작용에 의해 결정된다.
- 취약성은 성격(예: 친화성, 외향성)에 따라 달라지며, 인지만으로는 신뢰할 만하게 완화되지 않는다. 즉, 지식이 현실적인 조건 하에서의 행동으로 반드시 전환되는 것은 아니다.
내부자 위협 역학:
- 내부자 위협은 사고형, 과실형, 악의적 유형으로 분류되며, 흔히 비선적인 진행 과정(불만/구상 $\rightarrow$ 준비 $\rightarrow$ 탐색 $\rightarrow$ 실험 $\rightarrow$ 실행 $\rightarrow$ 회피)을 거친다.
- 위험은 접근 권한, 동기, 스트레스 요인, 그리고 조직적 통제의 상호작용에서 발생한다. 탐지는 기술적 모니터링을 행동 분석 및 문화적 지원과 통합하는 것을 요구한다.
조직적 조건:
- 보안 문화: 리더십의 의지와 공유된 규범이 준수의 주요 동력이지만, 강력한 문화가 항상 규칙 준수를 보장하지는 않는 '준수의 역설(Compliance Paradox)'이 존재한다.
- 정책 설계: 사용자를 좌절시키는 "독재적" 설계는 우회 행위("섀도 보안")를 초래하는 반면, "민주적" 설계는 과도한 오류를 허용할 수 있다.
- 업무량: 높은 스트레스와 "보안 피로(security fatigue)"(SOC의 알람 피로, 직원의 번아웃 등)는 직접적인 과실의 전조가 된다.
인간-컴퓨터 상호작용(HCI) 및 사용성:
- 워크플로우를 방해하거나 사용하기 어려운 보안 통제는 우회된다.
- 열악한 인터페이스 디자인(모호한 경고, 알람 폭격)은 습관화와 신호 무시를 초래한다.
- 사용성은 기술적 통제의 효과성을 결정짓는 근본적인 한계치이다.

의의 및 제안된 프레임워크
본 논문은 자신의 주요 의의가 인간 요인을 정적인 "사용자 약점"에서 동적인, 다층적 시스템 문제로 관점을 전환하는 데 있다고 주장한다. 저자들은 보안 사고가 인지적 한계, 학습된 루틴, 그리고 일시적 상태가 조직 설계 및 공격자의 적응과 상호작용하여 발생한다고 주장한다.

이러한 합성을 바탕으로, 본 논문은 6개의 상호 연결된 구성 요소로 이루어진 새로운 통합 프레임워크를 제안한다:

개인 심리적 요인 핵심: 편향, 위험 인지, 동기 및 스트레스 평가.
행동 반응 및 준수 모듈: 프로토콜 준수, 위생 상태 및 우회 행동 측정.
사회-조직적 맥락 계층: 보안 문화, 리더십 의지 및 정책 설계 평가.
인간-시스템 상호작용(HCI) 및 사용성 구성 요소: 마찰 지점 및 사용자 중심 설계 분석.
위협 환경 상호작용 모듈: 특정 위협(피싱, 내부자)에 대한 취약성 프로파일링.
완화 전략 및 개입 설계 가이드라인: 게이미피케이션, 적응형 훈련, 인지적 차폐(cognitive shielding)를 활용한 "정밀 방어"를 향한 이동.
측정 및 평가 루프: 개입을 개선하기 위해 다차원적 지표(예: 자기 효능감, 상황 인식)를 사용하는 지속적인 피드백 메커니즘.

한계 및 향후 방향
저자들은 영어권 출판물에 대한 의존도, 출판 편향의 가능성, 그리고 코퍼스 내 횡단적 연구의 우세성 등의 한계를 인정한다. 본 논문은 미래 연구가 종단적 및 혼합 방법론 설계를 채택하고, 측정 도구를 표준화하며, AI 기반 기만 및 원격 근무의 진화하는 특성에 대응하기 위해 범죄학, 신경과학과 같은 학제 간 관점을 통합할 것을 촉구한다. 결론적으로, "인간 중심" 접근 방식은 단순한 부가 요소가 아니라 사이버 복원력의 근본적인 기둥이며, 비난 중심 모델에서 시스템적이고 적응적인 전략으로의 전환이 필요하다.

유사한 논문